¿Qué es el formato de archivo EVTX?
.evtx es un archivo de sistema utilizado por el Visor de eventos de Windows para almacenar el Registro de eventos de Windows. El formato reemplazó a los antiguos registros binarios .evt cuando Microsoft lo introdujo con Windows Vista y Windows Server 2008. Ambos formatos siguen siendo reconocidos en los sistemas Windows modernos. El Visor de eventos -y herramientas como Get-WinEvent de PowerShell- pueden abrir archivos .evtx directamente; también son los registros en vivo nativos escritos continuamente por el sistema operativo en %SystemRoot%\System32\winevt\Logs.
Windows registra todos los eventos pertenecientes a una máquina determinada y las aplicaciones que se ejecutan en ella. Los eventos se dividen en varios archivos de diario dedicados, siendo los cuatro principales:
- Diario de Aplicación: registra información relacionada con las aplicaciones en ejecución,
- Diario de Seguridad: registra todos los eventos relacionados con la seguridad del sistema (por ejemplo, intentos de inicio de sesión de usuario),
- Diario de Instalación: registra eventos relacionados con instalaciones del sistema, como actualizaciones,
- Diario de Sistema: contiene información diversa sobre el sistema Windows.
Todos los diarios, excepto el de Seguridad, agrupan además las entradas en tres tipos:
- Información
- Advertencia
- Error
A cada entrada se le asigna un ID de evento único, una marca de tiempo, el nombre de la fuente que generó el evento y una breve descripción. Es posible que esa descripción no se muestre correctamente si la aplicación de origen no está instalada en la máquina donde se lee el registro. Los administradores de sistemas a veces piden a los usuarios que envíen un archivo .evtx para la resolución de problemas; se puede abrir en el Visor de eventos o analizar con herramientas de línea de comandos como EvtxECmd o Get-WinEvent.
Internamente, .evtx almacena los registros como XML binario (BinXML) empaquetados en fragmentos de 64 KiB, lo que lo hace mucho más eficiente y estructurado que su predecesor. Cada fragmento y el encabezado del archivo están protegidos por una suma de comprobación CRC-32, lo que permite la detección de manipulaciones y corrupción. El formato .evtx se utiliza ampliamente en informática forense de Windows y respuesta ante incidentes.
Seguridad y protección
RIESGO: LOWLos archivos EVTX son registros de datos inertes: no se ejecutan y no contienen macros, por lo que abrir uno en el Visor de eventos o en un analizador es seguro. El ángulo de seguridad es el opuesto: los archivos EVTX SON la evidencia. Los atacantes borran o manipulan los registros (el ID de evento de seguridad 1102 registra un borrado de registro), por lo que en la respuesta ante incidentes la preocupación son los registros faltantes o alterados, no los maliciosos. Una precaución práctica: los registros EVTX pueden contener cadenas controladas por el atacante (líneas de comando, rutas), por lo que al analizar registros no confiables use herramientas que no ejecuten contenido incrustado y tenga cuidado al pegar campos brutos en terminales. Los registros también pueden contener datos sensibles (nombres de usuario, nombres de host, IPs); maneje los archivos .evtx exportados en consecuencia.
Detalles del formato
en pocas palabrasProgramas que abren archivos EVTX
Windows4 apps
Event Viewer
Integrado Ejecute eventvwr.msc, luego Acción > Abrir registro guardado y seleccione el .evtx. Es el visor nativo de alta fidelidad con paneles de General/Detalles (XML) y filtrado.
EvtxECmd (Eric Zimmerman)
Gratis Analizador de línea de comandos para forense: «EvtxECmd.exe -f log.evtx --csv out» exporta registros a CSV/JSON para análisis en Timeline Explorer o Excel.
PowerShell (Get-WinEvent)
Integrado Get-WinEvent -Path log.evtx envía los eventos a filtrado o exportación; por ejemplo, añada | Export-Csv out.csv. Programable, sin instalación adicional.
Chainsaw
Código abierto Búsqueda rápida en EVTX con reglas Sigma para detección de amenazas: «chainsaw hunt log.evtx -s sigma/». Para uso en DFIR/blue-team. 
macOS1 app
python-evtx
Código abierto pip install python-evtx, luego «evtx_dump.py log.evtx» convierte los registros a XML legible en macOS/Linux sin Windows. 
Linux2 apps
evtx (Rust evtx_dump)
Código abierto Analizador multiplataforma rápido: «evtx_dump log.evtx» genera XML/JSON. Se instala vía cargo o pip (el enlace python «evtx»).
python-evtx
Código abierto pip install python-evtx, luego «evtx_dump.py log.evtx» convierte los registros a XML legible en macOS/Linux sin Windows. Detalles técnicos
especificación profunda| Firma de archivo | `ElfFile\0` (hex `45 6C 66 46 69 6C 65 00`) en el desplazamiento de byte 0 |
| Firma de fragmento | `ElfChnk\0` al inicio de cada fragmento de datos de 64 KiB; cada registro de evento comienza con el marcador `2A 2A 00 00` |
| Codificación interna | XML binario (BinXML): eventos almacenados como XML codificado en binario utilizando tablas de plantillas y cadenas por fragmento, evitando la sobrecarga del XML de texto plano |
| Tamaño del fragmento | 64 KiB (65.536 bytes) por fragmento; el encabezado del archivo ocupa los primeros 4.096 bytes |
| Orden de bytes | Little-endian en todo el archivo |
| Tipo MIME | `application/octet-stream` |
| Mecanismo de integridad | Sumas de comprobación CRC-32 en el encabezado del archivo, en cada encabezado de fragmento y en cada registro de evento; permite la detección de manipulaciones y corrupción |
| Ubicación de registro predeterminada | `%SystemRoot%\System32\winevt\Logs\`: un archivo `.evtx` por canal de registro (ej. `Application.evtx`, `Security.evtx`, `System.evtx`) |
| Formato predecesor | `.evt` (registro de eventos binario de Windows 2000/XP/2003, reemplazado a partir de Windows Vista) |
| Versión del formato | El encabezado contiene campos de versión mayor/menor (comúnmente 3.1 o 3.2); formato estable desde Windows Vista |
| Tamaño máximo de registro predeterminado | Configurable por canal; los valores predeterminados típicos oscilan entre 1 MB y 20 MB; los registros se sobrescriben o archivan al alcanzar el límite |
| Sistemas operativos compatibles | Windows Vista, 7, 8, 10, 11 y Windows Server 2008 y posteriores; también legible en Linux y macOS mediante analizadores de código abierto |
| Compresión | Ninguna: los registros BinXML se almacenan sin comprimir; el ahorro de espacio proviene de la codificación binaria en lugar de la compresión |
| Tablas de registros por fragmento | Cada fragmento de 64 KiB contiene su propia tabla de cadenas y tabla de plantillas para la decodificación autónoma de los registros dentro de ese fragmento |
| Lanzado | 2006-2007 (Windows Vista / Windows Server 2008, replacing the .evt format) |
| Última versión | EVTX (current in Windows 11 / Server 2025; format stable since Vista) |
| Especificación | learn.microsoft.com |
Conversiones de EVTX
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos EVTX.
